Android soll Business-tauglich werden Google baut auf Samsung Knox

Google plant, das mobile Android-Betriebssystem künftig mit Funktionen von Samsung Knox auszuliefern. Was bedeutet das für die Anwender? Wie funktioniert Knox genau? Und wie sieht die derzeitige Umsetzung auf Samsung-Geräten aus? Security-Insider ist diesen Fragen auf dem Samsung Business Discovery Day nachgegangen.

Anbieter zum Thema

sysob IT-Distribution GmbH & Co. KG

SEPPmail - Deutschland GmbH

Keeper Security EMEA Ltd.

Samsung Knox ist eine Sicherheitsarchitektur und -erweiterung für Android, von der insbesondere Unternehmen beim Mobile Device Management (MDM) profitieren können. Um das System zu verstehen, beginnen wir mit der Anwendungsebene – dem Bereich, den der eigentliche Nutzer zu sehen bekommt.

Auf Anwendungsebene ist Knox vereinfacht gesagt eine Container-Lösung. Der private Bereich ist frei zugänglich, nur geschützt durch die vom Anwender gewählte Sicherheitssperre. Bei Android kann dies eine einfache Wischgeste sein, sicherer wird es mit Face Unlock (Gesichtserkennung), Entsperrmuster, PIN, Passwort oder mittlerweile auch Fingerabdruck-Erkennung.

Zusätzlich steht dem Anwender ein sicherer Bereich, also ein Daten- und App-Container zur Verfügung. Alle Anwendungen und Daten, die innerhalb dieses Containers abgelegt werden, sind von den Apps außerhalb des Containers getrennt. Vertrauenswürdige Anwendungen, beispielsweise bei Kontaktliste und Kalender, lassen sich je nach Einstellung aber Synchronisieren oder zumindest im Read-Only-Modus betreiben.

Verzahnung von geschäftlichen und privaten Bereichen

Da Samsung-Geräte standardmäßig mit Knox ausgeliefert werden, können Privatanwender die Container-Funktion durchaus nutzen. Ursprünglich wurde Knox allerdings mit Blick auf geschäftliche Anforderungen entwickelt. Samsung will Sicherheitsbedenken gegenüber Privatgeräten, die auch geschäftlich genutzt werden (Bring Your Own Device, BYOD), aus der Welt schaffen.

Unternehmen können sich nämlich offenbar nicht darauf verlassen, dass entsprechende Nutzungsverbote und Sicherheitsrichtlinien eingehalten werden. Im Rahmen des Business Discovery Day hat Samsung eine Studie vorgestellt, in der es heißt, dass 30 Prozent der Millenials (Nutzer zwischen 18 und 34 Jahren) bestehende Sicherheitsrichtlinien umgehen und beispielsweise nicht erlaubte Dienste wie Dropbox nutzen.

Warum Root und Knox sich nicht vertragen

Wer Superuser-Rechte auf seinem Android-Gerät freischalten wollte, war mit Samsung-Geräten in der Vergangenheit gut bedient. Die Smartphones des Herstellers lassen sich verhältnismäßig einfach rooten. Seit einigen Monaten häufen sich in den Android-Foren jedoch die Fragen, warum nach dem Root-Vorgang bei jedem Neustart die Meldung „Set Warranty Bit : Kernel“ auftaucht.

In der Vergangenheit wurde mithilfe eines Flash-Counters registriert, dass ein Anwender sein System auf eigene Faust aktualisiert oder sich Superuser-Rechte verschafft hatte. Dieser Zähler ließ sich beim Zurückspielen einer offiziellen Samsung-Firmware allerdings zurücksetzen. Bei Knox ist das nicht mehr möglich – und zwar aus gutem Grund.

Geht ein Android-Gerät verloren, so kann ein potenzieller Datendieb recht einfach auf den Speicher zugreifen, indem er das Gerät rootet. Samsung setzt deshalb auf die sogenannte On-Device Data Encryption, eine Hardware-basierte Verschlüsselung. Der Knox-Container ist somit zwar nach dem Advanced Encryption Standard (AES 256) verschlüsselt, die hinterlegten Schlüssel dürfen allerdings nicht in fremde Hände geraten.

Bei Veränderungen am System wird deshalb der Schlüsselspeicher, der auf einem sogenannten eFuse-Chip liegt, restlos zerstört. Damit sind auch die im Knox-Container gespeicherten Daten unwiederbringlich verloren. „Knox lässt sich nur wieder aktivieren, indem der entsprechende Chip im Service Point ersetzt wird“, erläuterte Neil Barclay, B2B Technical Lead bei Samsung Mobile Europe.

Dies ist der Grund, warum die Nutzer nach dem Rooten ihres Geräts die beschriebene „Warranty Bit“-Meldung sehen: Die Integrität des Betriebssystems ist schlichtweg nicht mehr gewährleistet.

Was bedeutet das für den Android-Nutzer?

Für den geneigten Superuser bedeutet das in erster Instanz, dass es schwieriger wird, ein gerootetes Samsung-Gerät weiterzuverkaufen. Denn das Smartphone lässt sich nicht mehr in der vom Hersteller vorgesehenen Weise nutzen, zumindest solange es Hardware-seitig nicht in den Auslieferungszustand zurückversetzt wurde.

Letztlich muss man einen Käufer finden, dem das egal ist – und rein rechtlich gesehen in Verkaufsangeboten explizit auf den Root hinweisen. Dies könnte in naher Zukunft für alle Android-Nutzer relevant werden, weil die Samsung-Funktion bereits mit der kommenden Android-Version L erstmals ausgeliefert werden soll.

Sobald Google die Knox-Funktionen in Android verankert, könnte dieses Problem also auch die Käufer neuer Android-Geräte betreffen. Allerdings ist noch nicht klar, welche Knox-Funktionen in Android integriert werden und wie oder ob andere OEM-Hersteller die Möglichkeiten anschließend ausschöpfen werden.

Mobile Device Management mit Samsung Knox

Mit Knox gibt Samsung den Unternehmen die Möglichkeit, flexibel gegenüber den „Millenials“ aufzutreten: In der Security Policy wird schlichtweg definiert, dass für geschäftliche Zwecke ein Container auf dem Gerät angelegt wird, über den das Unternehmen die Kontrolle hat. Dieser Teil des Mobilgeräts lässt sich über die Cloud verwalten, alternativ bietet Samsung auch On-Premise- und Partnerlösungen an.

Auf diesem Weg kann der IT-Administrator beispielsweise sicherstellen, dass der geschützte Bereich nur per Zwei-Faktor-Authentifizierung zugänglich ist. Neben einem Passwort kann dann beispielsweise der Fingerabdruck zur Identifizierung des Nutzers dienen. Die Android-Struktur wurde außerdem um wichtige Funktionen für Unternehmen erweitert, darunter VPN, Single-Sign-on und Integritätsmanagement.

Für das Mobile Device Management werden erweiterte APIs (Programmierschnittstellen) bereitgestellt, die eine Anpassung auf andere MDM-Suiten erlauben. Um die Kompatibilität zu bestehenden Infrastrukturen zu gewährleisten, werden die MDM-Suiten von Airwatch, MobileIron, SON, Citrix und SAP unterstützt.

Weitere Sicherheitsfunktionen

Auf Kernel-Ebene arbeiten Samsung-Geräte mit der Zugriffskontrollfunktion „SELinux“ (Security-Enhanced Linux, sicherheitsverbessertes Linux). Eine Ebene darunter, im Boot Loader, baut Samsung auf eine anpassbare Secure-Boot-Funktion. Diese verhindert unter anderem, dass sich unautorisierte Software auf dem Gerät festsetzt.

Auf Hardware-Ebene kommt TIMA (TrustZone-based Integrity Measurement Architecture, z.Dt.: Vertrauenszonen-basierte Integritätsprüfungs-Architektur) zum Einsatz. Im TIMA Keystore finden sich die kryptographischen Schlüssel für den Knox-Zugriff. TIMA stellt letztlich auch sicher, dass die Knox-Schlüssel nur freigegeben werden, solange die originale Kernel-Version ausgeführt wird. Weitere Details hierzu finden sich auf der Knox-Webseite von Samsung.

(ID:42769538)